sql注入漏洞是什么

一个深夜，入漏某电商平台的入漏数据库管理员发现用户表里多了一条神秘记录：用户名是 admin' OR '1'='1，密码栏则是入漏一串乱码。这不是入漏黑客炫技，而是入漏典型的SQL注入攻击痕迹。

SQL注入的入漏原理其实不复杂。网站后台通常用SQL语句查询数据库，入漏比如登录时执行 SELECT * FROM users WHERE username='$input' AND password='$pass'。入漏如果开发者图省事，入漏直接把用户输入拼进这条语句，入漏攻击者就能用单引号闭合前半句，入漏再用逻辑运算符改变查询意图。入漏上面那条用户名输入，入漏实际执行的入漏效果是：无论密码对不对，只要 '1'='1' 恒真，入漏查询就永远返回结果——等于绕过了身份验证。

我第一次亲眼见到这种攻击是在2019年，一个老旧的教务系统。当时只想测试一下，在学号输入框敲了句 ' OR 1=1 --，结果页面直接跳转到了管理员后台。那一刻后背发凉：原来防住这种攻击，只需要写代码时多用参数化查询，但很多系统上线五六年都没人管。

更糟的是，SQL注入不止能偷数据。攻击者可以注入 UNION SELECT 拼接其他表，拖出密码哈希；用 xp_cmdshell（如果数据库支持）直接执行操作系统命令；甚至通过延时函数 IF(1=1,SLEEP(5),0) 做时间盲注，逐字符猜解数据。2017年Equifax泄露1.4亿美国人信息，根因就是Apache Struts漏洞——但SQL注入依然是OWASP十大风险里最常被利用的入口，因为老旧系统太多，而且很多开发者仍迷信“输入过滤”就够用。

过滤确实有用，但容易踩坑。比如把单引号替换成两个单引号，看似安全，可如果数据库用了宽字节编码（比如GBK），攻击者用 %bf%27 这类畸形编码就能绕过。还有的开发者只过滤了 select，但攻击者用 SeLeCt 大小写混写就绕过了。真正的解法很朴素：把SQL语句和数据彻底分开，用参数化查询（PreparedStatement），让数据库引擎把输入当纯数据，而不是代码。这就像寄快递时把地址写在面单上，而不是把面单内容揉进包裹里。

当然，参数化查询不是万能药。动态表名、列名、排序字段没法参数化，这时候就得靠白名单校验。比如只允许 ASC 或 DESC，而不是直接把用户输入拼进 ORDER BY。还有存储过程，如果内部用了动态SQL，同样有风险。我见过一个团队把用户输入直接传给存储过程拼表名，结果被拖走了整张订单表——他们当时还觉得“用了存储过程就安全了”，这就是典型的认知误区。

说句实话，SQL注入能被讲这么些年，不是因为技术多高深，而是开发者太容易在细节上偷懒。很多框架默认就带防护，但总有人为了“灵活”绕过框架手写SQL。写代码时多问一句：“这个输入能变成代码吗？”如果能，那就是漏洞。别指望WAF兜底，绕过WAF的方法一搜一大把。真正该做的，是让数据库压根不接收可执行的SQL片段——就像不给陌生人钥匙，而不是装个门禁再祈祷他撬不开。